Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
Anlage: Erklärungen und Nachweise des
Auftragnehmers für Auftragsverarbeitungen
nach Art. 28 DSGVO
„Legal AI Workspace“
KfW-2026-0025
Hinweis:
Dieses Formular ist bei Vorliegen einer Auftragsverarbeitung i.S.v. Art. 28 DSGVO vom jeweiligen Auftragnehmer bzw. Bieter auszufüllen und der Leistungsvereinbarung bzw. dem Angebot beizufügen. Bitte nehmen Sie Änderungen und Ergänzungen an diesem Formular nur vor, sofern und soweit dies ausdrücklich vorgesehen ist.
1/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
Angaben zum Auftragnehmer bzw. Bieter
- Bezeichnung des Auftragnehmers/Bieters
Name/Firma: Klicken Sie hier, um Text einzugeben.
Adresse: Klicken Sie hier, um Text einzugeben.
Weitere Angaben (optional): Klicken Sie hier, um Text einzugeben.
- Benennung des Datenschutzbeauftragten / Weisungsempfängers
Ich erkläre: Als Auftragnehmer/Bieter bin ich gesetzlich zur Benennung eines Datenschutzbeauftragten verpflichtet:
☐ Ja. Es gelten die nachfolgenden Angaben zum Datenschutzbeauftragten:
Name (optional): Klicken Sie hier, um Text einzugeben.
Firma/Organisationseinheit: Klicken Sie hier, um Text einzugeben.
Telefon: Klicken Sie hier, um Text einzugeben.
E-Mail-Adresse: Klicken Sie hier, um Text einzugeben.
☐ Nein. Die nachfolgend als Weisungsempfänger benannte Person ist der Datenschutz-Ansprechpartner für diese Auftragsverarbeitung.
Darüber hinaus benenne ich als Auftragnehmer/Bieter für diese Auftragsverarbeitung folgenden Weisungsempfänger:
Name: Klicken Sie hier, um Text einzugeben.
Firma/Organisationseinheit: Klicken Sie hier, um Text einzugeben.
Telefon: Klicken Sie hier, um Text einzugeben.
E-Mail-Adresse: Klicken Sie hier, um Text einzugeben.
- Benennung eines Vertreters in der Europäischen Union i.S.d. § 5 lit. c) der Vereinbarung zur Auftragsverarbeitung
Ich erkläre: Als Auftragnehmer/Bieter habe ich meinen Sitz außerhalb der EU bzw. des EWR und bin deshalb gesetzlich dazu verpflichtet, einen in der EU niedergelassenen Vertreter zu benennen:
2/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
☐ Ja. Ich benenne folgenden in der EU niedergelassenen Vertreter:
Klicken Sie hier, um Text einzugeben.
☐ Nein.
Technische und organisatorische Maßnahmen („TOMs“)
i.S.d. Art. 32 DSGVO
Ich erkläre: Die nachstehend aufgeführten TOMs sind geeignet, um ein dem Risiko angemessenes Schutzniveau bei der Verarbeitung personenbezogener Daten im Rahmen der Auftragsverarbeitung i.S.d. gesetzlichen Vorgaben und den Vorgaben des Vertrags über die Auftragsverarbeitung zu gewährleisten. Es werden folgende TOMs wirksam und in angemessener Weise zur Anwendung gebracht (Auswahl von Option 1, 2 oder 3):
☐ Option 1: Überwiegende Anwendung der TOMs des Auftraggebers - Die für die Verarbeitung personenbezogener Daten anzuwendenden TOMs liegen überwiegend im Einflussbereich des Auftraggebers (insbesondere durch ausschließliche Nutzung der IT-Infrastruktur, -Hardware und -Software des Auftraggebers). Mir ist bewusst, dass mich dies nicht davon entbindet, über den Einflussbereich des Auftraggebers hinausgehende TOMs zu ergreifen, insbesondere, jedoch nicht abschließend: Schulung der Beschäftigten zum Datenschutz, Verpflichtung der Beschäftigten zum vertraulichen Umgang mit personenbezogenen Daten, Implementierung interner Vorgaben zum Umgang mit personenbezogenen Daten, Sicherstellung eines angemessenen und wirksamen Datenschutz-Management-Systems.
Oder
☐ Option 2: Eigenes Datenschutzkonzept - Es wurden TOMs im Rahmen eines für diese Auftragsverarbeitung individuellen Datenschutzkonzepts festgelegt, die die gesetzlichen und vertraglichen Vorgaben erfüllen. Dieses Datenschutzkonzept wird beigefügt.
Oder
☐ Option 3: Angabe der TOMs anhand der nachfolgenden Liste - Im Rahmen der Auftragsverarbeitung kommen die nachfolgend ausgewählten und näher bezeichneten TOMs zur Anwendung. Mir ist bewusst, dass die nachfolgende Auswahl mich nicht davon entbindet, ggf. darüber hinausgehende, dem Risiko der Verarbeitung angemessene, TOMs zu implementieren, sofern und soweit dies gesetzlich oder vertraglich vorgeschrieben ist:
3/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
a) Vertraulichkeit und Pseudonymisierung
☐ Zutrittskontrolle
Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten, Schlüssel,
elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;
☐ Zugangskontrolle
Keine unbefugte Systembenutzung, z.B. (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-
Faktor-Authentifizierung, Verschlüsselung von Datenträgern;
☐ Zugriffskontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.:
Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen;
☐ Trennungskontrolle
Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B.
Mandantenfähigkeit, Sandboxing;
☐ Pseudonymisierung
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung
zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können,
sofern diese zusätzlichen Informationen gesondert aufbewahrt werden (z.B. ausschließlich beim
Auftraggeber) und entsprechenden technischen und organisatorischen Maßnahmen unterliegen.
☐ Weitere Maßnahmen des Auftragnehmers/Bieters zur Gewährleistung der Vertraulichkeit oder
individuelle Ausprägungen von Maßnahmen: Klicken Sie hier, um Text einzugeben.
b) Integrität
☐ Weitergabekontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder
Transport, z.B. angemessene Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;
☐ Eingabekontrolle
Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben,
verändert oder entfernt worden sind, z.B. Protokollierung, Dokumentenmanagement.
4/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
☐ Weitere Maßnahmen des Auftragnehmers/Bieters zur Gewährleistung der Integrität oder individuelle
Ausprägungen von Maßnahmen: Klicken Sie hier, um Text einzugeben.
c) Verfügbarkeit und Belastbarkeit, rasche Widerherstellbarkeit
☐ Verfügbarkeitskontrolle
Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B. Backup-Strategie (online/offline; on-
site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und
Notfallpläne;
☐ Gewährleistung der raschen Wiederherstellbarkeit.
☐ Weitere Maßnahmen des Auftragnehmers/Bieters zur Gewährleistung der Verfügbarkeit und
Belastbarkeit sowie raschen Wiederherstellbarkeit oder individuelle Ausprägungen von Maßnahmen:
Klicken Sie hier, um Text einzugeben.
d) Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
☐ Implementierung eines angemessenen und wirksamen Datenschutz-Management-Systems;
☐ Verpflichtung der Beschäftigten zum vertraulichen Umgang mit personenbezogenen Daten;
☐ Bestehen eines Verarbeitungsverzeichnisses nach Art. 30 Abs. 2 DSGVO;
☐ Vorliegen einer Auftragskontrolle;
☐ Funktionsfähiges Incident-Response-Management (oder vergleichbare Verfahren).
☐ Weitere Maßnahmen des Auftragnehmers/Bieters zur Gewährleistung von Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung bzw. individuelle Ausprägungen von Maßnahmen: Klicken Sie hier, um Text einzugeben.
e) Sonstige Angaben zu TOMs (optional)
Ich möchte folgende sonstige Angaben zu den festgelegten TOMs machen: Klicken Sie hier, um Text einzugeben.
5/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
Einsatz von Unterauftragnehmern
Ich erkläre: Im Rahmen der Leistungserbringung beabsichtige ich als Auftragnehmer/Bieter den Einsatz
folgender Unterauftragnehmer:
Unterauftragnehmer Leistung des Unterauftragnehmers/Einsatzzweck (Name/Firma, Anschrift)
Sonstige Angaben zum Einsatz von Unterauftragnehmern (optional): Klicken Sie hier, um Text einzugeben.
6/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
Drittlandübermittlungen
Ich erkläre: Im Rahmen der Auftragsverarbeitung findet voraussichtlich eine Übermittlung personenbezogener Daten in ein Drittland außerhalb der EU bzw. des EWR („Drittlandübermittlung“) statt (Hinweis: Dies umfasst insb. Drittlandübermittlungen aufgrund des Sitzes des Auftragnehmers/Bieters in einem solchen Drittland und den Einsatz von Unterauftragnehmern in einem Drittland):
☐ Nein. [Ende der Bearbeitung]
☐ Ja. Es findet voraussichtlich eine Drittlandübermittlung in nachfolgender Weise statt:
a) Angaben zur Drittlandübermittlung
Ich erkläre: Die Drittlandübermittlung besteht in folgendem Sachverhalt bzw. folgenden Sachverhalten:
☐ Ich bin Auftragsverarbeiter, der seinen Sitz in einem Drittland außerhalb der EU bzw. des EWR unterhält;
☐ Ich bin Auftragsverarbeiter, der zum Zwecke seiner Leistungserbringung im Rahmen der Auftragsverarbeitung weitere Auftragnehmer einsetzt, womit Drittlandübermittlungen einhergehen (z.B. Sitz des Unterauftragnehmers im Drittland, Weiterübermittlung in Drittländer durch den Unterauftragnehmer);
☐ Ich möchte sonstige Angaben zu Drittlandübermittlungen machen: Klicken Sie hier, um Text einzugeben.
7/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
b) Angaben zum Datenempfänger
| Datenempfänger (Name/Firma, Anschrift) | Betroffenes Drittland | Rechtsinstrument nach Art. 44 ff. DSGVO (Mehrfachauswahl möglich) |
|---|---|---|
| ☐ Angemessenheitsbeschluss der EU-Kommission ☐ Abschluss von Standarddatenschutzklauseln inkl. Transfer Impact Assessment ☐ Vorliegen von Binding Corporate Rules ☐ Ausnahmetatbestand nach Art. 49 DSGVO: Klicken Sie hier, um Text einzugeben. | ||
| ☐ Angemessenheitsbeschluss der EU-Kommission ☐ Abschluss von Standarddatenschutzklauseln inkl. Transfer Impact Assessment ☐ Vorliegen von Binding Corporate Rules ☐ Ausnahmetatbestand nach Art. 49 DSGVO: Klicken Sie hier, um Text einzugeben. | ||
| ☐ Angemessenheitsbeschluss der EU-Kommission ☐ Abschluss von Standarddatenschutzklauseln inkl. Transfer Impact Assessment ☐ Vorliegen von Binding Corporate Rules ☐ Ausnahmetatbestand nach Art. 49 DSGVO: Klicken Sie hier, um Text einzugeben. |
8/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
☐ Angemessenheitsbeschluss der EU-Kommission
☐ Abschluss von Standarddatenschutzklauseln inkl. Transfer Impact Assessment
☐ Vorliegen von Binding Corporate Rules
☐ Ausnahmetatbestand nach Art. 49 DSGVO: Klicken Sie hier, um Text einzugeben.
Sonstige Angaben zu Datenempfängern (optional): Klicken Sie hier, um Text einzugeben.
9/10
Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 DSGVO
c) Bestätigung von Verpflichtungen bei Vorliegen von Drittlandübermittlungen
Ich erkläre: Die gesetzlichen Vorgaben zu Drittlandübermittlungen sind mir bekannt und ich bestätige, diese sowie die einschlägigen vertraglichen Vorgaben des Auftragsverarbeitungsvertrags hierzu vollumfänglich zu erfüllen. Ich bestätige je nach Vorliegen des jeweiligen Rechtsinstruments insbesondere die Erfüllung der nachfolgenden Pflichten:
☐ Angemessenheitsbeschluss der EU-Kommission - Ich habe das Vorliegen und die vollständige Anwendbarkeit eines Angemessenheitsbeschlusses der EU-Kommission sorgfältig geprüft. Sollte der Angemessenheitsbeschluss für das betroffene Drittland nachträglich entfallen, gewährleiste ich die unverzügliche Herstellung einer rechtskonformen Verarbeitungssituation in Bezug auf die Drittlandübermittlung sowie eine unterbrechungsfreie Verarbeitung. Für Datenübermittlungen in die USA: Ich versichere das Bestehen einer gültigen und ausreichenden Zertifizierung des Datenempfängers unter dem EU-U.S. Data Protection Framework und weise dieses auf Verlangen des Auftraggebers nach.
☐ Abschluss von Standarddatenschutzklauseln inkl. Transfer Impact Assessment - Für die betreffenden Drittlandübermittlungen werden jeweils rechtsgültige und aktuelle Standarddatenschutzklauseln nach den gesetzlichen Vorgaben abgeschlossen. Sofern und soweit erforderlich, werden bestehende Standarddatenschutzklauseln aktualisiert, damit die betroffenen Drittlandübermittlungen im Rahmen des gewählten Rechtsinstruments hinreichend abgesichert sind.
☐ Binding Corporate Rules - Die anzuwendenden Binding Corporate Rules sind von der zuständigen Datenschutz-Aufsichtsbehörde genehmigt und ich habe mich vom Vorliegen der Genehmigung sowie deren Gültigkeit in angemessener Weise versichert.
☐ Ausnahmetatbestand nach Art. 49 DSGVO - Ich versichere, dass ich die Anwendbarkeit der näher bezeichneten Ausnahmetatbestände nach Art. 49 DSGVO sorgfältig geprüft habe. Mir ist bekannt, dass die Heranziehung von Ausnahmetatbeständen nach Art. 49 DSGVO bei auf Wiederholung angelegten bzw. routinemäßigen Vorgängen häufig unzulässig ist und die Anwendung daher restriktiv erfolgen sollte.
Sonstige Angaben zur Bestätigung von Verpflichtungen bei Vorliegen von Drittlandübermittlungen (optional): Klicken Sie hier, um Text einzugeben.
10/10